🇰🇷 한글 설명
PHP 5.3.x (5.3.1 이전) 버전에서 safe_mode_include_dir 지시자를 인식하지 못하는 문제입니다. 이로 인해 include나 require 작업을 수행하는 PHP 스크립트가 예상치 못하게 실패할 수 있습니다. 다만 일부 보안 전문가는 이것이 더 제한적인 보안 정책을 야기하므로 실제 보안 취약점이 아닐 수 있다고 지적합니다.
💡 쉬운 설명
PHP 파일에서 다른 파일을 불러올 때 보안 설정이 제대로 작동하지 않는 문제입니다. 이로 인해 include나 require 명령어를 사용하는 PHP 프로그램이 정상적으로 작동하지 않을 수 있습니다.
🇺🇸 원문 (English)
main/streams/plain_wrapper.c in PHP 5.3.x before 5.3.1 does not recognize the safe_mode_include_dir directive, which allows context-dependent attackers to have an unknown impact by triggering the failure of PHP scripts that perform include or require operations, as demonstrated by a script that attempts to perform a require_once on a file in a standard library directory. NOTE: a reliable third party reports that this is not a vulnerability, because it results in a more restrictive security policy.
📍 영향받는 시스템
PHP 5.3.0 버전 (PHP 5.3.1 이상에서는 패치됨)
⚔️ 공격 벡터
safe_mode_include_dir 지시자가 무시되어 표준 라이브러리 파일의 require_once 실행 실패를 유발함으로써 PHP 스크립트 동작 방해
🛡️ 대응 방법
PHP를 5.3.1 이상으로 즉시 업그레이드
🔧 검증 코드
PHP 버전이 5.3.0이면 취약하며, 5.3.1 이상이면 패치되었습니다.
php -v 2>/dev/null | grep -E 'PHP 5\.3\.[0-9]'